JP2013121070A - 中継システム及び、当該中継システムを構成する中継装置、通信装置 - Google Patents

Abstract

【課題】 中継装置を介して外部装置が接続される通信ネットワークにおいて、当該通信ネットワーク上のデータの解析を困難にする中継システムを提供する。
【解決手段】 ＧＷ−ＥＣＵが書き換えツールからの書き換えデータを受信すると（Ｓ１００：ＹＥＳ）、通信ルールをＥＣＵへ通知し（Ｓ１１０）、受信側であるＥＣＵからの応答があると（Ｓ１２０：ＹＥＳ）、書き換えデータを分割し（Ｓ１３０）、決定された通信ルールでダミーメッセージを介在させた一連のメッセージ群を送信する（Ｓ１４０）。一方、ＥＣＵは、メッセージを受信すると、通信ルールに則ってダミーメッセージであるか否かを判断し、ダミーメッセージは破棄し、正規メッセージを取得して、書き換えデータを再構成する。
【選択図】 図２

Description

本発明は、複数の通信装置が同一の通信路に接続されてなる通信ネットワークに、外部装置を接続するための中継装置を備えた中継システムに関する。

従来、車両に搭載される通信システムとして、ＣＡＮやＬＩＮ等、バス通信路を利用するものが知られている。このような通信システムでは、ＥＣＵがノードとして機能し、複数のＥＣＵによる通信ネットワークが形成されている。

ところで、車両の盗難防止の観点から、このような通信ネットワークに、エンジンＥＣＵを解錠するための信号を出力するイモビライザＥＣＵが設けられたシステムが知られている（例えば、特許文献１参照）。このようなシステムでは、エンジン始動の要求があると、イモビライザＥＣＵが特定コードを送信することによってエンジンＥＣＵを解錠する。つまり、イモビライザＥＣＵによる「鍵」を有しているのである。

特開平８−３０８７３号公報

ところで、上記通信ネットワークには、機能追加などを目的として、外部装置が接続されることがある。例えば、外部装置を通信ネットワークに接続し、通信ネットワークに書き換えデータ（リプログラミングデータ）を送信することで、所定のＥＣＵのプログラムを書き換える（リプログラミングする）という具合である。

しかしながら、このような仕組みが悪用され、外部装置を接続することで、イモビライザＥＣＵによる「鍵」が初期化されてしまうことがある。
そのため、車両の通信システムに外部装置を接続する場合、外部装置が正規のものであるか否かを判別し不正な書き換えを防止するという意味において、中継装置が介在させられる。この場合、中継装置は、外部装置が送信するフレームの正当性を判断し、当該フレームを、通信システムの通信ネットワークへ送信する。

ところが、通信ネットワーク上のデータを取得することは比較的容易であり、通信ネットワーク上のデータを解析されてしまうと、上述した中継装置による不正防止の効果が半減してしまう。

本発明は、上述した課題を解決するためになされたものであり、その目的は、中継装置を介して外部装置が接続される通信ネットワークにおいて、当該通信ネットワーク上のデータの解析を困難にする中継システムを提供することにある。

上述の目的を達成するためになされた請求項１に記載の中継システムは、複数の通信装置が同一の通信路に接続されてなる。この通信ネットワークは、外部装置を接続するための中継装置を備えており、中継装置を介し外部装置から通信装置へのデータ通信が実現される。

ここで、中継装置は、外部装置からのデータを通信路へ出力する際、ダミーメッセージを介在させた一連のメッセージ群を送信する。具体的には、外部装置からのデータを複数個に分割した分割データをメッセージとして出力するのであるが、このとき、決定された通信ルールに従いメッセージ間にダミーメッセージを介在させる。

一方、通信装置は、メッセージ群から通信ルールに従ってメッセージを取り出し、データを再構成する。
つまり、中継装置と通信装置との間で通信ルールを決定しておき、当該通信ルールに則って中継装置から通信装置へ送信されるメッセージ群にダミーデータを含めるようにしたのである。このようにすれば、通信ネットワーク上のデータを取得することは比較的容易であったとしても、当該通信ネットワーク上のデータの解析を困難にすることができる。

なお、通信ルールは、例えば請求項２に示すように、中継装置と通信装置との間で予め決定されていることが考えられる。
ただし、通信ネットワーク上のデータの解析を困難にするという観点からは、請求項３に示すように、中継装置が、メッセージ群の出力に先立って、通信ルールを通信装置へ通知することで、通信装置との間で通信ルールを決定することが好ましい。この場合、通信ルール自体を通信装置へ通知するようにしてもよいし、予め定められた複数の通信ルールのいずれを使用するかを通信装置へ通知するようにしてもよい。このようにすれば、通信ルールを都度決定することが出来るため、通信ネットワーク上のデータの解析を一層困難にすることができる。

ところで、通信ルールは、具体的には、請求項４に示すように、メッセージ群のうちの何番目が分割データに対応するメッセージであるかを示すものであることが考えられる。一例として、図４に示すように、メッセージ群のうちの偶数番目を分割データに対応するメッセージとし、奇数番目をダミーメッセージにするという具合である。このようにすれば、比較的簡単な通信ルールで、通信ネットワーク上のデータの解析を困難にすることができる。

また、通信ルールは、具体的には、請求項５に示すように、メッセージに識別子が含まれメッセージ群に複数個の識別子が設定されることを前提に、メッセージ群のうちで分割データに対応するメッセージを、識別子で規定するものであることが考えられる。例えばメッセージがヘッダとデータとで構成されるような場合、当該ヘッダに識別子（ＩＤ）を含むような通信方式であれば、この識別子で分割データに対応するメッセージを規定することが考えられる。一例として、図５に示すように、識別子「ＩＤ−Ａ」→「ＩＤ−Ａ」→「ＩＤ−Ｂ」→「ＩＤ−Ｃ」→「ＩＤ−Ａ」という具合に、識別子の順序を決めておき、当該識別子を含むメッセージを分割データに対応するメッセージにするという具合である。このようにすれば、複雑な通信ルールを比較的簡単に構築することができ、複数の識別子を用いることで対象となる通信装置を特定することも困難となり、通信ネットワーク上のデータの解析を困難にするという効果が際だつ。

なお、中継装置は、分割データをそのままの順序で送信してももちろんよいが、請求項６に示すように、分割データの順番を入れ替えて一連のメッセージ群を送信するようにしてもよい。このようにすれば、さらに、通信ネットワーク上のデータ解析が困難になる。

ところで、このような通信ネットワークは、請求項７に示すように車両内に構築されることが考えられる。このようにすれば、車両の盗難防止という観点で有効である。
以上は、中継システムの発明として説明してきたが、請求項８に示すような中継システムを構成する中継装置の発明として、また、請求項９に示すような中継システムを構成する通信装置の発明として実現することもできる。このような中継装置及び通信装置においても、上記中継システムと同様の効果が奏される。

中継システムの概略構成を示すブロック図である。 ＧＷ−ＥＣＵが実行する送信側処理を示すフローチャートである。 書き換え対象のＥＣＵが実行する受信側処理を示すフローチャートである。 通信ルールの一例を示す説明図である。 通信ルールの別例を示す説明図である。

以下に本発明の一実施形態を図面と共に説明する。
図１は、中継システム１の概略構成を示すブロック図である。中継システム１は、車両内の通信ネットワーク１０と、書き換えツール２０とを備えている。通信ネットワーク１０では、いわゆるＣＡＮ（Controller Area Network ）プロトコルによるシリアル通信が行われる。

書き換えツール２０は、データリンクコネクタ４１を介し通信路３０によって、通信ネットワーク１０に接続されている。通信ネットワーク１０は、書き換えツール２０が接続されたゲートウェイＥＣＵ（以下「ＧＷ−ＥＣＵ」という）４０及びプログラムの書き換え対象となり得る複数のＥＣＵ５０を備えている。書き換えツール２０とＧＷ−ＥＣＵ４０との間では、ＣＡＮ（Controller Area Network ）プロトコルによるシリアル通信が行われる。ＥＣＵ５０は、ノードとして機能し、バス通信路６０を介して相互に接続されている。なお、ＥＣＵ５０は、エンジンＥＣＵ、トランスミッションＥＣＵ、エアコンＥＣＵ、及び、ナビＥＣＵなどとして具現化される。

バス通信路６０は、異なるＥＣＵ４０，５０からハイレベルの信号とロウレベルの信号とが同時に出力されると、バス通信路６０上の信号レベルがロウレベルとなるように構成されており、この機能を利用して調停を実現する。

ＥＣＵ５０同士の通信には、ＣＡＮ通信におけるメッセージが使用される。メッセージは、ヘッダと、データからなる。ヘッダは、データの識別子（ＩＤ）を含み、ＩＤの値に応じて、バス調停で勝ち残るように設定されている。一方、データには、サイズを示すサイズ情報、エラーの有無をチェックするためのＣＲＣ符号が含まれている。

従来、このような通信ネットワーク１０上のデータは、バス通信路６０に対して不正読取装置７０によって比較的容易に取得されてしまう。
そこで、本実施形態では、書き換えツール２０から書き換えデータを送信すると、ＧＷ−ＥＣＵ４０を介して、書き換え対象のＥＣＵ５０のリプログラミングが可能となっている。このとき、ＧＷ−ＥＣＵ４０は、書き換えツール２０からの書き換えデータを分割し、分割データに対応する複数個のメッセージを生成し、ある通信ルールに則ってダミーメッセージを含む一連のメッセージ群を送信する。一方、書き換え対象のＥＣＵ５０は、その通信ルールに則ってダミーメッセージを破棄し、分割データに対応するメッセージを取得して、書き換えデータを再構成する。

ここでＧＷ−ＥＣＵ４０が実行する送信側処理を説明する。図２は、送信側処理を示すフローチャートである。この送信側処理は、所定間隔で繰り返し実行される。
最初のＳ１００では、書き換えデータを受信したか否かを判断する。この処理は、書き換えツール２０から書き換えデータを受信したか否かを判断するものである。ここで書き換えデータを受信したと判断された場合（Ｓ１００：ＹＥＳ）、Ｓ１１０へ移行する。一方、書き換えデータを受信していないと判断された場合（Ｓ１００：ＮＯ）、以降の処理を実行せず、送信側処理を終了する。

Ｓ１１０では、通信ルールを通知する。例えば通信ルールは、予め定められたいくつかのパターンの中から選択的に通知されるという具合である。ここでは、送信されるメッセージのうち奇数番目のメッセージが「ダミーメッセージ」であり、偶数番目のメッセージが「正規メッセージ（分割データに対応するメッセージ）」であるとする通信ルールが通知されたものとする。

このような通信ルールの通知に対して、受信側のＥＣＵ５０から、応答メッセージが送信される。そこで、Ｓ１２０では、受信側からの応答があったか否かを判断する。ここで受信側からの応答があったと判断された場合（Ｓ１２０：ＹＥＳ）、Ｓ１３０へ移行する。一方、受信側からの応答がないうちは（Ｓ１２０：ＮＯ）、Ｓ１２０の判断処理を繰り返す。

受信側からの応答があった場合に移行するＳ１３０では、Ｓ１００にて受信した書き換えデータを複数個の分割データに分割し、当該分割データに対応する複数個のメッセージを生成する。

続くＳ１４０では、複数個のメッセージ間に通信ルールに則ってダミーメッセージを介在させた一連のメッセージ群を送信する。本実施形態では、奇数番目をダミーメッセージとし、正規メッセージは、偶数番目とする。

次のＳ１５０では、送信完了か否かを判断する。この処理は、一連のメッセージ群を全て送信したか否かを判断するものである。ここで送信完了であると判断された場合（Ｓ１５０：ＹＥＳ）、Ｓ１６０にて送信完了の通知を行い、その後、送信側処理を終了する。一方、送信が完了していないうちは（Ｓ１５０：ＮＯ）Ｓ１４０からの処理を繰り返す。

次に、書き換え対象のＥＣＵ５０にて実行される受信側処理を説明する。図３は、受信側処理を示すフローチャートである。この受信側処理は、ＥＣＵ５０にて繰り返し実行される。

最初のＳ２００では、通信ルールを受信したか否かを判断する。この処理は、図２中のＳ１１０に対応するものであり、ＧＷ−ＥＣＵ４０から通信ルールを受信した場合に肯定判断される。ここで通信ルールを受信したと判断された場合（Ｓ２００：ＹＥＳ）、Ｓ２１０へ移行する。一方、通信ルールを受信していないと判断された場合（Ｓ２００：ＮＯ）、以降の処理を実行せず、受信側処理を終了する。

Ｓ２１０では、応答メッセージを送信する。これにより、ＧＷ−ＥＣＵ４０は、図２中のＳ１２０で肯定判断する。
続くＳ２２０では、メッセージを受信したか否かを判断する。この処理は、ＧＷ−ＥＣＵ４０が送信するメッセージを受信したか否かを判断するものである。ここでメッセージを受信したと判断された場合（Ｓ２２０：ＹＥＳ）、Ｓ２３０へ移行する。一方、メッセージを受信していないうちは（Ｓ２２０：ＮＯ）、Ｓ２２０の判断処理を繰り返す。

Ｓ２３０では、ダミーメッセージか否かを判断する。本実施形態では、奇数番目に受信されるメッセージをダミーメッセージと判断する。ここでダミーメッセージであると判断された場合（Ｓ２３０：ＹＥＳ）、Ｓ２４０にてメッセージを破棄し、その後、Ｓ２７０へ移行する。一方、ダミーメッセージでないと判断された場合（Ｓ２３０：ＮＯ）、すなわち正規メッセージである場合には、Ｓ２５０にてメッセージを取得し、Ｓ２６０にて分割データを取り出して、その後、Ｓ２７０へ移行する。

Ｓ２７０では、送信が完了したか否かを判断する。この処理は、図２中のＳ１６０に対応するものであり、ＧＷ−ＥＣＵ４０からの送信完了通知があると、肯定判断される。ここで送信が完了したと判断された場合（Ｓ２７０：ＹＥＳ）、Ｓ２８０へ移行する。一方、送信が完了していないと判断された場合（Ｓ２７０：ＮＯ）、Ｓ２２０からの処理を繰り返す。

Ｓ２８０では、Ｓ２６０にて取り出された分割データから書き換えデータを再構成する。続くＳ２９０では書き換えデータによって自身のプログラムを書き換え、その後、受信側処理を終了する。

以上の送信側処理及び受信側処理でのメッセージのやり取りをさらに具体的に説明すると、図４に示すごとくとなる。
すなわち、送信側であるＧＷ−ＥＣＵ４０は、書き換えツール２０からの書き換えデータを、複数個の分割データに分割し、メッセージ「２」、メッセージ「４」、メッセージ「６」、・・・という具合に偶数番目のメッセージに割り当てる（図２中のＳ１３０）。このとき、奇数番目のメッセージであるメッセージ「１」、メッセージ「３」、メッセージ「５」、・・・は、ダミーデータで構成されたダミーメッセージとし、一連のメッセージ群を送信する（Ｓ１４０）。

一方、受信側である書き換え対象のＥＣＵ５０は、ＧＷ−ＥＣＵ４０から受信するメッセージのうちで、奇数番目のメッセージはダミーメッセージと判断して破棄し（図３中のＳ２３０：ＹＥＳ，Ｓ２４０）、偶数番目のメッセージを正規メッセージとし（Ｓ２３０：ＮＯ，Ｓ２５０）、当該メッセージに含まれるデータから書き換えデータを再構成する（Ｓ２６０，Ｓ２８０）。

以上詳述したように、本実施形態では、ＧＷ−ＥＣＵ４０が書き換えツール２０からの書き換えデータを受信すると（図２中のＳ１００：ＹＥＳ）、通信ルールをＥＣＵ５０へ通知し（Ｓ１１０）、受信側であるＥＣＵ５０からの応答があると（Ｓ１２０：ＹＥＳ）、書き換えデータを分割し（Ｓ１３０）、決定された通信ルールでダミーメッセージを介在させた一連のメッセージ群を送信する（Ｓ１４０）。一方、ＥＣＵ５０は、メッセージを受信すると（図３中のＳ２２０：ＹＥＳ）、通信ルールに則ってダミーメッセージであるか否かを判断し（Ｓ２３０）、ダミーメッセージは破棄し（Ｓ２４０）、正規メッセージを取得する（Ｓ２５０）。そして、書き換えデータを再構成する（Ｓ２６０，Ｓ２８０）。

つまり、ＧＷ−ＥＣＵ４０とＥＣＵ５０との間で通信ルールを決定し、当該通信ルールに則ってＧＷ−ＥＣＵ４０からＥＣＵ５０へ送信されるメッセージ群にダミーデータを含めるようにしたのである。これにより、通信ネットワーク１０上のデータを取得することが比較的容易であったとしても、当該通信ネットワーク１０上のデータの解析を困難にすることができる。

また、本実施形態では、ＧＷ−ＥＣＵ４０が、メッセージの送信に先立って、通信ルールをＥＣＵ５０へ通知し（図２中のＳ１１０）、ＥＣＵ５０は通信ルールを受信すると（図３中のＳ２００：ＹＥＳ）応答メッセージを送信し（Ｓ２１０）、通信ルールが決定される。これにより、通信ルールを都度決定することが出来るため、通信ネットワーク１０上のデータの解析を一層困難にすることができる。

さらにまた、本実施形態では、図４に示したように、通信ルールの一例として、奇数番目のメッセージをダミーメッセージとし、偶数番目のメッセージを正規メッセージとしていた。このように、繰り返し受信されるメッセージのうちの何番目が正規メッセージで何番目がダミーメッセージであるという通信ルールによれば、比較的簡単な通信ルールで、通信ネットワーク１０上のデータの解析を困難にすることができる。

また、本実施形態では、車両内の通信ネットワーク１０上のデータ解析を困難にするものであるため、車両の盗難防止という観点から有効である。
なお、本実施形態における中継システム１が特許請求の範囲の「中継システム」を構成し、ＧＷ−ＥＣＵ４０が「中継装置」を構成し、ＥＣＵ５０が「通信装置」を構成し、書き換えツール２０が「外部装置」を構成し、通信ネットワーク１０が「通信ネットワーク」を構成する。また、図２に示した送信側処理が「中継装置」の機能としての処理に相当し、図３に示した受信側処理が「通信装置」の機能としての処理に相当する。

以上、本発明は、上述した実施形態に何ら限定されるものではなく、その技術的範囲を逸脱しない限りにおいて、種々なる形態で実施可能である。
（イ）上記実施形態では、奇数番目のメッセージをダミーメッセージとし、偶数番目のメッセージを正規メッセージとしていた。つまり、繰り返し送受信されるメッセージの順番によってダミーデータと正規データとを区別していた。

同様の手法として、例えば、奇数番目のメッセージを正規メッセージとし、偶数番目のメッセージをダミーメッセージとしてもよい。また例えば、１、２、４、７、１０、１３、・・・というように、正規メッセージ（又はダミーメッセージ）の順番を決定しておいてもよい。また、このような順番は都度ランダムに決定するようにしてもよい。

（ロ）上記（イ）とは別の手法として、図５に示すように、メッセージのヘッダに含まれるＩＤを絡めて通信ルールを設定することも考えられる。例えば、書き換え対象のＥＣＵ５０が受信すべきメッセージのＩＤを複数個用意する。図５の例では、「ＩＤ−Ａ」、「ＩＤ−Ｂ」、及び「ＩＤ−Ｃ」という具合に３種類のＩＤを割り当てている。そして、正規メッセージとなるメッセージの順序をＩＤの順序で決定しておく。図５の例では、「ＩＤ−Ａ」→「ＩＤ−Ａ」→「ＩＤ−Ｂ」→「ＩＤ−Ｃ」→「ＩＤ−Ａ」→・・・という具合に決定されている。このようにすれば、複数のＩＤが用いられるため、正規メッセージを特定し難く、さらに書き換え対象のＥＣＵ５０を特定し難いため、バス通信路６０上のデータの解析を困難にするという効果が際だつ。

（ハ）上記実施形態ではＧＷ−ＥＣＵ４０から書き換え対象のＥＣＵ５０へ通信ルールを通知するようにしていたが（図２中のＳ１１０）、ＧＷ−ＥＣＵ４０とＥＣＵ５０との間で固定的な通信ルールを予め設定しておいてもよい。この場合、通信ルールは固定的なものとなるが、送信側処理及び受信側処理が簡単になるという点で有利である。

（ニ）上記実施形態では、分割データに対応する正規メッセージをどのような順番で送信するかについては、特に言及していない。この点、分割データの順番を入れ替えてメッセージを送信するようにすれば、通信ネットワーク１０上のデータ解析をさらに困難にすることができる。

（ホ）上記実施形態は書き換えツール２０によるリプログラミングの例に挙げて説明したが、バス通信路６０上のデータ通信の全般に上述したアルゴリズムを適用することができる。さらに、当該アルゴリズムを用いて書き換えツール２０の正当性を判断するようにすることも可能である。つまり、書き換えツール２０とＧＷ−ＥＣＵ４０との間で通信ルールを決定し、当該通信ルールに則って書き換えツール２０がメッセージを送信したときに、書き換えツール２０の正当性を判断し、その後のデータ通信を有効なものとすることが考えられる。この場合、書き換えツール２０とＧＷ−ＥＣＵ４０との間でやり取りされるメッセージの解析を困難にすることができる。

（へ）上記実施形態では、データリンクコネクタ４１を介して書き換えツール２０を有線接続する構成を示したが、無線によるリモートリプロにおいても同様に適用することができる。

１…中継システム
１０…通信ネットワーク
２０…書き換えツール
３０…通信路
４０…ゲートウェイＥＣＵ（ＧＷ−ＥＣＵ）
４１…データリンクコネクタ
５０…ＥＣＵ
６０…バス通信路
７０…不正読取装置

Claims (9)

1. 複数の通信装置が同一の通信路に接続されてなる通信ネットワークに、外部装置を接続するための中継装置を備え、前記中継装置を介し前記外部装置から前記通信装置へのデータ通信を実現する中継システムであって、
   前記中継装置は、前記外部装置からのデータを前記通信路へ出力する際、前記データを複数個に分割した分割データをメッセージとして出力すると共に、決定された通信ルールに従いメッセージ間にダミーメッセージを介在させた一連のメッセージ群を送信し、
   前記通信装置は、前記メッセージ群から前記通信ルールに従って前記メッセージを取り出し、前記データを再構成すること
   を特徴とする中継システム。
2. 請求項１に記載の中継システムにおいて、
   前記通信ルールは、前記中継装置と前記通信装置との間で予め決定されていること
   を特徴とする中継システム。
3. 請求項１に記載の中継システムにおいて、
   前記中継装置は、前記メッセージ群の出力に先立って、前記通信ルールを前記通信装置へ通知することで、前記通信装置との間で前記通信ルールを決定すること
   を特徴とする中継システム。
4. 請求項１〜３の何れか一項に記載の中継システムにおいて、
   前記通信ルールは、前記メッセージ群のうちの何番目が前記分割データに対応するメッセージであるかを示すものであること
   を特徴とする中継システム。
5. 請求項１〜３の何れか一項に記載の中継システムにおいて、
   前記通信ルールは、前記メッセージに識別子が含まれ前記メッセージ群に複数個の識別子が設定されることを前提に、前記メッセージ群のうちで前記分割データに対応するメッセージを、前記識別子で規定するものであること
   を特徴とする中継システム。
6. 請求項１〜５の何れか一項に記載の中継システムにおいて、
   前記中継装置は、前記分割データの順番を入れ替えて前記一連のメッセージ群を送信すること
   を特徴とする中継システム。
7. 請求項１〜６の何れか一項に記載の中継システムにおいて、
   前記通信ネットワークは、車両内に構築されること
   を特徴とする中継システム。
8. 請求項１〜７の何れか一項に記載の中継システムを構成する中継装置。
9. 請求項１〜７の何れか一項に記載の中継システムを構成する通信装置。

Images